脅威ハンティングのためのWindowsプロセスプロパティ列挙ツール
背景
これらのツールの目的は、脅威アクターが使用するプロセスインジェクションの手口を検出するために、Windowsプロセスの特性を列挙することです。
ツール
- d-cow - Windows 共有 API（例: EtwEventWrite）のコピーオンライト検出器。インメモリパッチングを検出します。
- d-criticalsections - Windows プロセスが持つクリティカルセクションの数を列挙します。
- d-dr-registers - デバッグレジスタが設定されており、ハードウェアブレークポイントを示すプロセスを列挙します。
- d-nonmodulecallstack - すべてのスレッドのコールスタックと関連するモジュールおよび関数を列挙します。
- d-peb-dll-loadreason - DLLロードについて、理由と日時スタンプ、およびメインバイナリからの差分を列挙します。
- d-teb - 他のユーザーを偽装しているスレッドを列挙します。
- d-threat-start - 各スレッドの開始アドレスと、そのアドレスが指すモジュールを列挙します。
- d-vehimplant - ベクタード例外ハンドラと、それらが指すモジュールを列挙します。
- d-vehlab - VEH作業用のサンドボックス。
nccgroup/detectwindowscopyonwriteforapi
